CVE-2020-37252: Sårbarhed i Realtek Audio Service

CVE-2020-37252 er en sårbarhed i Realtek Audio Service version 1.0.0.55, lydsoftwaren til mange computere med Realtek-lydkort. Fejlen findes i filen RtkAudioService64.exe og kaldes en unquoted service path: stien til programfilen i Windows’ serviceregister mangler anførselstegn omkring mellemrum i mappenavnet. Det betyder, at Windows leder efter en eksekverbar fil flere steder i stien, før den finder den rigtige fil. Ligger der en skadelig fil et af disse steder, kan Windows komme til at køre den i stedet, når tjenesten starter, eller computeren genstartes.

Sårbarheden rammer Windows-computere, hvor Realtek Audio Service version 1.0.0.55 kører. Det drejer sig typisk om bærbare og stationære computere med indbygget Realtek-lydkort fra flere pc-producenter. Det gælder både private computere og arbejdscomputere i danske virksomheder, hvor mange standardmaskiner fra blandt andre Dell, HP, Lenovo og Asus kommer med Realtek-lyddrivere forudinstalleret.

En angriber, der allerede har almindelig brugeradgang til en computer, kan placere en skadelig fil i den rette mappe og opnå fulde systemrettigheder, kaldet LocalSystem, næste gang tjenesten starter, eller computeren genstartes. Herfra kan angriberen installere yderligere skadelig software, slå sikkerhedsfunktioner fra, læse alle data på maskinen eller bruge den som springbræt videre ind i virksomhedens netværk. I praksis bruges denne type sårbarhed ofte som andet skridt i et angreb, efter en medarbejder allerede har åbnet en vedhæftet fil eller klikket på et link, der har givet angriberen et første fodfæste.

CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen, det vil sige, at angriberen allerede er logget ind med et almindeligt brugerkonto, men kræver ikke administratorrettigheder og ingen handling fra den ramte bruger. Kompleksiteten er lav, hvilket betyder, at angrebet er forholdsvis let at udføre, når først angriberen har fodfæste. Konsekvensen er høj på alle tre parametre, fortrolighed, integritet og tilgængelighed, fordi angriberen ender med fulde systemrettigheder. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb.

Sårbarheden lukkes ved at rette servicestien, ikke ved at vente på en ny driverversion. Sådan gør I:

1. Åbn registreringsdatabasen (regedit) på den enkelte maskine, find nøglen for RtkAudioService64 under HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices, og sæt anførselstegn omkring stien i feltet ImagePath.
2. Undersøg om Realtek eller jeres pc-producent har udgivet en nyere driverversion end 1.0.0.55, og installér den, hvis fejlen er rettet der.
3. Begræns hvilke brugere der har skriveadgang til mapper i stien, typisk under C:Program Files, så almindelige medarbejdere ikke kan placere filer der.
4. Gennemgå øvrige installerede tjenester på jeres computere for lignende unquoted service path-fejl, da det er en almindelig og ofte overset fejltype.
5. Udrul rettelsen centralt via gruppepolitik eller et script, hvis I har mange maskiner, i stedet for at rette hver enkelt manuelt.
6. Få hjælp udefra, hvis I har mange forskellige pc-modeller og ikke har ressourcer til at kortlægge og rette servicestier centralt.